Auftragsdaten-verarbeitungs- vertrag (ADV)
Parteien
Silenccio AG «Auftragsverarbeiter»
Kunde von Silenccio AG, der die Cyberpräventionsservices nutzt: «Verantwortlicher»
Einleitung
Dieser ADV regelt die Verarbeitung personenbezogener Daten durch die Silenccio AG, im folgenden «Auftragsverarbeiter» im Auftrag des Kunden, im folgenden «Verantwortlicher», im Rahmen der Nutzung der Plattform https://cyberpreventionservicesapp.axa.ch.
1 Gegenstand der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Rahmen der vertraglich vereinbarten Leistungen (Vertrag zur Nutzung der Cyberpräventionsservices der Silenccio AG; Hauptvertrag) auf Weisung des Verantwortlichen. Die Datenverarbeitung umfasst Speicherung, Verwaltung, Support, Pflege.
2 Art und Zweck der Datenverarbeitung
Betroffene (natürliche) Personen:
- Verantwortlicher (falls natürliche Person) bzw. Ansprechpartner seitens des Verantwortlichen
- Organe des Verantwortlichen bzw. deren Arbeitnehmer
- Arbeitnehmer und weitere Hilfspersonen des Verantwortlichen
Art der Daten:
- Identifikationsdaten des Ansprechpartners seitens des Verantwortlichen: Firmenname, Vorname und Nachname, Postanschrift, Telefonnummer, E-Mail-Adresse,
- Arbeitnehmer- und Hilfspersonendaten, Daten der Organe des Verantwortlichen: Vorname, Nachname, E-Mail-Adresse
- Vertragsdaten: Umfang der bezogenen Services, Laufzeit, Nutzung der Services
- Verbindungdaten: Sicherheitstoken, Passwordhashes, Passwörter, IP-Adressen, Cookies
Zweck der Verarbeitung:
- Vertragsdurchführung und Leistungserbringung
- Finanzwesen
- Vertriebsmanagement
3 Rechte und Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmässigkeit der Datenverarbeitung verantwortlich und stellt sicher, dass die Verarbeitung auf einer gesetzlichen Grundlage beruht, insbesondere auf der Einwilligung der betroffenen Personen oder einer sonstigen Rechtgrundlage.
4 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Daten nur auf (rechtskonforme) dokumentierte Weisung des Verantwortlichen zu verarbeiten. Hält er sie für unzulässig, teilt er dies dem Verantwortlichen mit,
- stets für eine angemessene Datensicherheit gemäss geltendem schweizerischem Datenschutzrecht zu sorgen und mindestens die nachfolgend aufgelisteten, technischen und organisatorischen Massnahmen (TOM) zum Schutz der Daten zu treffen,
- keine Daten an Dritte weiterzugeben, ausser es ist vertraglich geregelt oder gesetzlich vorgeschrieben,
- alle seine Arbeitnehmer und sonstigen Hilfspersonen zur Geheimhaltung zu verpflichten, soweit sie dies nicht schon von Gesetzes wegen sind,
- den Verantwortlichen bei Datenschutzverletzungen unverzüglich zu informieren,
- Daten nur im Rahmen dieses Vertrages zu löschen oder zurückzugeben,
- den Verantwortlichen bei der Erfüllung der Betroffenenrechte (z.B. Auskunft, Berichtigung, Löschung) im Rahmen der gesetzlichen Vorgaben zu unterstützen.
5 Unterauftragsverarbeiter
Der Auftragsverarbeiter darf nur mit vorheriger Zustimmung des Verantwortlichen Unterauftragsverarbeiter einsetzen. In diesem Fall bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen verantwortlich.
Genehmigte Unterauftragsverarbeiter:
| Name | Land | Funktion |
| Google Workspace | Schweiz | E-Mail, Dokumente, Hosting von Kundendaten |
| Salesforce | USA | CRM / Speicherung personenbezogener Daten |
| Brevo | Frankreich | Versand von SMS |
| Mailjet | Frankreich | Versand transaktionaler E-Mails |
| Mailgun | USA | Versand transaktionaler E-Mails |
| Payrexx | Schweiz | Zahlungsabwicklung |
| EyeOnID | USA | Kreditkartenmonitoring |
| Quickmail | Schweiz | Verarbeitung von Leads/Kontakten |
| BreachDirectory (RapidAPI) | USA | Abgleich von E-Mail-Adressen gegen Breach-Datenbanken |
| Have I Been Pwned | Australien | Prüfung von E-Mail-Adressen auf bekannte Datenlecks |
| BlacklistChecker | USA | Abgleich von Domains/IPs gegen Reputations- und Blacklist-Daten |
| Brave Search | USA | Suche und Anreicherung von öffentlich verfügbaren Informationen |
6 Dauer der Verarbeitung
Die Verarbeitung erfolgt so lange, wie es für die Erfüllung des Vertrags erforderlich ist oder gesetzlich vorgeschrieben wird. Nach Beendigung der Leistungen sind alle personenbezogenen Daten unverzüglich, spätestens nach 60 Tagen, zu löschen oder zurückzugeben.
Beschreibung der Daten, Zwecke und Dauer der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt gemäss den in der Datenschutzerklärung auf der Website beschriebenen Zwecken und Fristen. Nachfolgend eine Zusammenfassung:
| Datenart | Zweck der Verarbeitung | Dauer der Speicherung |
| Identifikationsdaten | Kommunikation, Support, Vertragsabwicklung | 5 Jahre |
| Mitarbeiterdaten | Vertragsdurchführung | 60 Tage |
| Vertragsdaten | Vertragsdurchführung | 5 Jahre |
| Finanzdaten | Abrechnung, Zahlungsabwicklung | 10 Jahre |
| Verbindungsdaten | Sicherheitstoken, Passwordhashes, Passwörter, IP-Adressen, Cookies | 1 Jahr |
7 Haftung
Die Haftung richtet sich nach den gesetzlichen Vorgaben.
8 Schlussbestimmungen
Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Technische und organisatorische Massnahmen
1 Vertraulichkeit (Art. 3 Abs. 1 DSV, Art. 32 DSGVO)
- Zugangskontrolle
- Bearbeitung produktiver Personendaten in den Rechenzentren des Hosting-Anbieters in Zürich bearbeitet. Der physische Zugangsschutz wird dort gewährleistet und ist zertifiziert
- In den eigenen Räumlichkeiten: abschliessbares Büro, begleiteter Zutritt für Besucher, Clean-Desk-Prinzip.
- Verschlossene Aufbewahrung physischer Unterlagen mit Personendaten.
- Zugriffskontrolle
- Rollen- und Berechtigungskonzept nach dem Grundsatz «need to know», Vergabe minimaler Rechte
- Regelmässige Überprüfung der Berechtigungen und Entzug nicht mehr benötigter Rechte
- Getrennte Administrations- und Benutzerkonten
- Protokollierung von Zugriffen auf besonders schützenswerte Personendaten
- Benutzerkontrolle
- Persönliche Benutzerkonten, keine geteilten Zugänge für Systeme mit Personendaten
- Passwortrichtlinie sowie Zwei-Faktor-Authentisierung wo möglich
- Trennungskontrolle
- Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden. Getrennte Umgebungen für Entwicklung, Test und Produktion
2 Verfügbarkeit und Integrität (Art. 3 Abs 2 DSV, Art 32 DSGVO)
- Datenträger und Speicher
- Verschlüsselung von Endgeräten
- Härtung der Systeme und sichere Grundkonfiguration
- Transportkontrolle
- Verschlüsselte Übertragung (TLS)
- VPN für Fernzugriffe
- Kein unverschlüsselter Versand besonders schützenswerter Personendaten
- Wiederherstellung und Verfügbarkeit
- Backup-Konzept (online und offline, on-site und off-site)
- Regelmässige und getestete Wiederherstellung
- Desaster-Recovery- und Notfallplanung, unterbrechungsfreie Stromversorgung bei Google Cloud
- Systemsicherheit
- Schutz vor Schadsoftware (Firewall, Virenschutz, Endpoint Detection & Response Lösung)
- Patch- und Update-Management, aktuelle Betriebssysteme und Software
- Regelmässige Penetrationstests
- Härtung und sichere Grundkonfiguration der Systeme
- Löschung und Backups
- Personendaten werden gelöscht oder anonymisiert, sobald sie nicht mehr benötigt werden, unter Beachtung gesetzlicher Aufbewahrungsfristen
- Bei Vertragsende Löschung der Personendaten
- Nach einer Wiederherstellung aus dem Backup werden zwischenzeitlich gelöschte Daten vor der Freigabe erneut entfernt. Backups werden im normalen Zyklus überschrieben
3 Nachvollziehbarkeit (Art. 3 Abs. 3 DSV)
- Eingabekontrolle
- Protokollierung von Eingaben, Änderungen und Löschungen
- Dokumentenmanagement
- Erkennung und Behebung
- Monitoring und Alarmierung, wo sinnvoll Intrusion Detection
- Definiertes Verfahren zur Meldung und Bearbeitung von Vorfällen (Incident Response)
- Dokumentierte Eskalation und Nachbearbeitung
4 Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung
- Mitarbeitende
- Verpflichtung auf Vertraulichkeit, regelmässige Sensibilisierung
- Datenschutz-Organisation
- Klare Zuständigkeit
- Datensparsame Voreinstellungen (Privacy by Default)
- Auftragsbearbeitung
- Bearbeitung nur auf Weisung des Verantwortlichen
- Unterauftragsbearbeiter, u.a. der Hosting-Anbieter, nur mit Zustimmung und gleichwertigen Massnahmen
- Datensicherheitsverletzungen werden dem Verantwortlichen unverzüglich gemeldet
- Unterstützung des Verantwortlichen bei Auskunft, Berichtigung und Löschung
- Wesentliche Änderungen der Massnahmen werden dem Verantwortlichen vorgängig mitgeteilt